Cyberpediaod Brain
PLDEENESFRITNLPT

Quishing: pułapka w kodzie QR

Podstawiony kod QR ukrywa adres w obrazie i prowadzi do fałszywej strony logowania. Jak go rozpoznać i co zrobić przed zeskanowaniem.

W 30 sekund

Gdzie to się zdarza
E-maile, SMS-y, fałszywe faktury, plakaty, menu, etykiety produktów, współdzielone pliki PDF lub arkusze1.
Czego chce atakujący
Skierować Państwa na fałszywą stronę logowania albo skłonić do pobrania złośliwego oprogramowania1.
Odruch
Zanim zeskanują Państwo kod, powinni Państwo sprawdzić jego pochodzenie innym kanałem, na przykład dzwoniąc do nadawcy1.
Jeśli już to się stało
Nie należy wpisywać danych logowania ani danych płatniczych, dopóki autentyczność witryny nie zostanie potwierdzona1. Wiadomość należy zgłosić, a potem usunąć bez odpowiadania2.

O co chodzi

Quishing to atak phishingowy wykorzystujący kod QR. Kod jest obrazem: nie pokazuje adresu, który zawiera, więc użytkownik nie widzi go z góry1.

Dla pracownika pułapka polega na zwykłym geście. Skanuje się kod otrzymany w e-mailu, przyklejony na plakacie lub umieszczony we współdzielonym dokumencie i trafia na stronę, która prosi o zalogowanie się lub zapłatę1.

Pytania wprost

Czym jest quishing?

To phishing za pomocą kodu QR. Proofpoint opisuje go jako atak socjotechniczny, który przekierowuje ofiary na złośliwe strony lub wywołuje pobranie złośliwego oprogramowania. W odróżnieniu od klasycznego phishingu, opartego na odnośnikach zapisanych wprost, wykorzystuje kod w postaci obrazu1.

Dlaczego kod QR trudniej ocenić niż odnośnik?

Ponieważ adres jest niewidoczny. Proofpoint zauważa, że użytkownik nie może z góry zobaczyć adresu URL zawartego w kodzie, co czyni to narzędzie podatnym na nadużycia1.

Dlaczego filtry firmowe nie zawsze go wychwytują?

Według Proofpoint quishing omija filtry poczty1. Tim Bedard z IBM Expert Labs, cytowany na tej samej stronie, wyjaśnia, że narzędzia do ochrony poczty szukają w wiadomościach znanych podejrzanych odnośników, ale nie analizują obrazów pod kątem odnośników ukrytych w kodzie QR1. Istnieją wyspecjalizowane rozwiązania: wyodrębniają kody QR z e-maili i załączników, takich jak pliki PDF, dekodują adres i oceniają jego ryzyko1.

Czy dotyczy to także mojego prywatnego telefonu?

Tak. Proofpoint pisze, że ta taktyka naraża organizacje zarówno przez urządzenia służbowe, jak i prywatne1. Strona nie omawia tej kwestii szerzej.

Co zrobić przed zeskanowaniem?

Proofpoint radzi, by przed zeskanowaniem kodu otrzymanego e-mailem, SMS-em lub w miejscu publicznym potwierdzić jego wiarygodność u nadawcy innym kanałem, na przykład telefonicznie1. CISA dodaje ogólną zasadę: jeśli wiadomość może być prawdziwa, nie należy klikać żadnego zawartego w niej odnośnika ani dzwonić pod żaden podany w niej numer, tylko poszukać innego sposobu kontaktu z firmą lub osobą2.

Co zrobić, gdy kod wygląda podejrzanie?

CISA zaleca zgłosić wiadomość, a następnie usunąć ją bez odpowiadania2. Brytyjskie NCSC przypomina, że zgłoszenie oszukańczej wiadomości jest bezpłatne i zajmuje minutę oraz że instytucja ma uprawnienia do badania oszukańczych adresów i stron, by doprowadzić do ich usunięcia3. W firmie Proofpoint zaleca jasne kanały, dzięki którym pracownicy mogą zgłosić podejrzany kod bez obawy przed konsekwencjami1. NCSC zauważa ze swojej strony, że pracownicy obawiający się o posadę nie zgłaszają swoich błędów4.

1W skórze atakującego1 min

Według Proofpoint metoda przebiega w czterech krokach1.

  • Utworzenie kodu. Bezpłatne narzędzia online generują kody QR kierujące do strony phishingowej lub do domeny hostującej złośliwe oprogramowanie.
  • Rozpowszechnienie go. Kod trafia do e-maila phishingowego, na fałszywą fakturę, na plakat, do menu restauracji albo zostaje naklejony na prawdziwy kod QR.
  • Ponaglanie do szybkiego działania. Wiadomości wzywają do natychmiastowej reakcji, na przykład „Scan to unlock a discount" lub „Verify your account".
  • Wykorzystanie skanu. Ofiara trafia na fałszywą stronę logowania, do narzędzia przechwytującego dane logowania lub na stronę z pobraniem złośliwego oprogramowania.

MITRE ATT&CK zalicza phishing do technik uzyskania początkowego dostępu. Opisuje podszywanie się pod nadawcę, które może oszukać zarówno odbiorcę, jak i zautomatyzowane narzędzia bezpieczeństwa, a także „thread hijacking" (przejęcie wątku): atakujący włącza cel do istniejącej rozmowy, w której wiadomości zawierają złośliwe pliki lub odnośniki5. Odwiedzona strona MITRE nie wspomina o kodach QR: te sztuczki są typowe dla phishingu w ogóle.

2Co widać na ekranie1 min

Typowa wiadomość prosi o zeskanowanie kodu, często z pilnym powodem. Proofpoint podaje „Scan to avoid account suspension" jako przykład wabika opartego na pośpiechu1. Kody występują też jako alerty o „weryfikacji konta" lub powiadomienia o przesyłce, z pozornym nadawcą w postaci banku, urzędu lub dostawcy1.

W miejscach publicznych Proofpoint wymienia menu restauracji, parkomaty, plakaty sklepowe i ulotki wydarzeń, z obietnicami zniżek, dostępu do WiFi lub ekskluzywnych treści1. W firmie kody mogą kryć się w wewnętrznych plikach PDF lub arkuszach podszywających się pod ankiety albo materiały szkoleniowe1.

Gdy strona jest już otwarta, CISA wymienia klasyczne oznaki phishingu: język pełen pilności lub emocji, prośbę o dane osobowe lub finansowe, niewiarygodne skrócone adresy oraz błędne adresy lub odnośniki, jak „amazan.com"2. Proofpoint podaje natomiast „arnazon.com"1. CISA zaznacza, że dawna oznaka w postaci błędów ortograficznych nie jest już pewna: w epoce sztucznej inteligencji niektóre e-maile mają bezbłędną gramatykę2.

NCSC ostrzega, że żadne szkolenie nie pozwoli wychwycić wszystkich prób, a szczegółowe badanie każdego e-maila nie zostawiłoby dość godzin na pracę4.

3Pod maskąZespoły IT1 min

Kod QR to czytelna dla maszyn macierz, która może zawierać do 7089 znaków numerycznych lub adresy URL, dostępna przez aparat smartfona lub aplikację do odczytu. Jego konstrukcja obejmuje korekcję błędów, dzięki której działa nawet częściowo uszkodzony1.

Po stronie obrony Proofpoint opisuje kilka warstw. Silniki analizy używają modeli widzenia komputerowego, by znajdować kody QR w e-mailach, dekodować adresy i oceniać ich ryzyko. Piaskownica online wyodrębnia kody z załączników i symuluje odwiedzenie adresów w odizolowanym środowisku przed doręczeniem. Według Microsoftu, cytowanego przez Proofpoint, ta kontrola przed doręczeniem zablokowała w 2024 roku około 1,5 miliona prób quishingu dziennie1.

Przeciw danym logowania wykradanym na takich fałszywych stronach Proofpoint zaleca uwierzytelnianie wieloskładnikowe, a przeciw sfałszowanym e-mailom protokoły DMARC, SPF i DKIM1. NCSC wyjaśnia, że DMARC uniemożliwia phisherom podszywanie się pod domenę organizacji oraz że potrzeba kilku warstw obrony, a nie polegania wyłącznie na czujności użytkowników, bo część ataków zawsze się przedostanie4.

4Analizy incydentówPrawdziwe przypadki1 min

2023: fałszywe faktury firmowe

Proofpoint opisuje atak z 2023 roku, który naśladował faktury firmowe. Pracownicy byli kierowani do fałszywych portali płatności1. Strona nie podaje ani nazwy atakowanej firmy, ani sprawcy ataku.

2024: menu restauracji zaklejone kodami

Według Proofpoint kampania z 2024 roku wymierzona w sieci restauracji polegała na nakładaniu złośliwych kodów QR na drukowane menu. Klienci byli przekierowywani na strony wyłudzające dane logowania, które naśladowały programy lojalnościowe1. Również tu źródło nie podaje nazwy sieci.

Oba przypadki pochodzą z jednego źródła komercyjnego, które nie podaje liczby ofiar. Brytyjskie NCSC opublikowało też 8 lutego 2024 roku wpis zatytułowany „QR Codes - what's the real risk?", z którego odwiedzona strona zawiera tylko tytuł i zdanie zapowiadające3.

Karta

Identyfikator
CP-006
Skrzydło
1. Ataki i techniki
Kompetencja Brain
Rozpoznawanie phishingu (detect_phishing)
Odruch Brain
cr-006
Schemat
G1 · Łańcuch ataku (Kill Chain)
Języki
de, en, es, fr, it, nl, pl, pt
Źródła
Źródła sprawdzone 3 listopada 2026: 5
ŹródłaŹródła: 5
  1. Proofpoint, „What Is Quishing (QR Phishing)? Definition | Proofpoint US”, 31 marca 2025. https://www.proofpoint.com/us/threat-reference/quishing (dostęp 3 listopada 2026)
  2. CISA, „Recognize and Report Phishing | CISA”. https://www.cisa.gov/secure-our-world/recognize-and-report-phishing (dostęp 3 listopada 2026)
  3. NCSC (Royaume-Uni), „Phishing scams: how to spot and report them”, 26 listopada 2021. https://www.ncsc.gov.uk/collection/phishing-scams (dostęp 3 listopada 2026)
  4. NCSC (Royaume-Uni), „Phishing attacks: defending your organisation”, 5 lutego 2018. https://www.ncsc.gov.uk/guidance/phishing (dostęp 3 listopada 2026)
  5. MITRE ATT&CK, „Phishing, Technique T1566 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1566/ (dostęp 3 listopada 2026)

Zacytuj ten artykuł

Brain, „Quishing: pułapka w kodzie QR”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/pl/articles/quishing-kod-qr-puapka/

BibTeX 
@misc{brain_cp006_pl_2026,
  author = {Brain},
  title = {Quishing: pułapka w kodzie QR},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/pl/articles/quishing-kod-qr-puapka/},
  note = {CC BY 4.0}
}
Licencja CC BY 4.0